Una llibreria Axios compromesa torna a posar el foc en la cadena de subministrament

Què va passar

Investigadors de seguretat i Google van informar d'una campanya vinculada amb Corea del Nord que va afectar programari àmpliament utilitzat en aplicacions web, entre el qual hi havia la llibreria Axios, i que va introduir codi maliciós destinat, entre altres objectius, al robatori de credencials.

El cas torna a posar el focus en la cadena de subministrament de programari: una llibreria usada per milers d'aplicacions pot convertir-se en vector d'atac si un component d'aquesta cadena queda compromès.

Què significa per a una empresa mitjana

Moltes empreses mitjanes no desenvolupen programari propi, però sí que usen aplicacions i serveis construïts amb llibreries de codi obert com Axios. Un compromís en una dependència àmpliament usada pot arribar a producció sense que ningú se n'adoni si no hi ha control de versions.

El risc no depèn de la mida de l'empresa, sinó de si els seus proveïdors de desenvolupament o el seu propi equip tècnic apliquen controls sobre les dependències que incorporen.

Què convé revisar

Controls que redueixen el risc d'una dependència compromesa:

• Si les versions de llibreries estan fixades (bloqueig de versions) i no s'actualitzen de manera automàtica sense revisió.
• Si existeix una anàlisi periòdica de dependències per detectar components vulnerables o sospitosos.
• Si s'usen repositoris interns que filtren i validen paquets abans que arribin als desenvolupadors.
• Si el procés de CI/CD inclou controls que impedeixin desplegar directament una actualització sense verificar.

Preguntes freqüents

Què és Axios i per què importa aquest cas?

És una llibreria molt utilitzada en aplicacions web per fer peticions a servidors; en estar tan estesa, un compromís pot afectar un nombre molt ampli d'aplicacions.

Una empresa sense equip de desenvolupament propi hi està exposada?

Sí, de manera indirecta, si els seus proveïdors de programari usen la llibreria afectada; convé preguntar a aquests proveïdors com gestionen les seves dependències.

Quina mesura té més efecte immediat?

El bloqueig de versions i l'anàlisi de dependències, perquè eviten que una actualització compromesa arribi directament a producció.